Planear a Gestão de Riscos Internos

Antes de começar a utilizar a Gestão de Riscos Internos na sua organização, reveja as importantes atividades de planeamento e considerações com as suas equipas de gestão de conformidade e tecnologias de informação. Compreender e planear exaustivamente a implementação nas seguintes áreas ajuda a garantir que a sua implementação e utilização das funcionalidades de Gestão de Riscos Internos corre sem problemas e se alinha com as melhores práticas.

Para obter mais informações e uma descrição geral do processo de planeamento para lidar com atividades de risco na sua organização, consulte Iniciar um programa de Gestão de Riscos Internos.

Para saber como o fluxo de trabalho da Gestão de Riscos Internos pode ajudar a sua organização a prevenir, detetar e conter riscos ao atribuir prioridades aos valores, cultura e experiência do utilizador da sua organização, veja o seguinte vídeo:

Veja o vídeo da Microsoft Mechanics sobre como a Gestão de Riscos Internos e a Conformidade de Comunicações funcionam em conjunto para ajudar a minimizar os riscos de dados dos utilizadores na sua organização.

Trabalhar com intervenientes na sua organização

Identifique os intervenientes adequados na sua organização para colaborar para efetuar ações em alertas e casos da Gestão de Riscos Internos. Considere incluir as seguintes áreas da sua organização no planeamento inicial e no fluxo de trabalho de Gestão de Riscos Internos ponto a ponto:

• Tecnologias de informação
• Conformidade
• Privacidade
• Segurança
• Recursos humanos
• Jurídico

Determinar os requisitos de conformidade regionais

Diferentes áreas geográficas e organizacionais podem ter requisitos de conformidade e privacidade que diferem de outras áreas da sua organização. Trabalhe com os intervenientes nestas áreas para garantir que compreendem os controlos de conformidade e privacidade na Gestão de Riscos Internos e como utilizá-los em diferentes áreas da sua organização. Em alguns cenários, os requisitos de conformidade e privacidade podem exigir políticas que designem ou restringem alguns intervenientes de investigações e casos com base no caso de um utilizador ou requisitos regulamentares ou de política para a área.

Se tiver requisitos para que intervenientes específicos estejam envolvidos em investigações de casos que envolvam utilizadores em determinadas regiões, funções ou divisões, considere implementar políticas separadas (mesmo que idênticas) de Gestão de Riscos Internos que visam as diferentes regiões e populações. Esta configuração torna mais fácil para os intervenientes certos fazerem a triagem e gerirem casos relevantes para as respetivas funções e regiões. Considere criar processos e políticas para regiões onde os investigadores e revisores falam o mesmo idioma que os utilizadores. Esta abordagem pode ajudar a simplificar o processo de escalamento para alertas e casos da Gestão de Riscos Internos.

Planear permissões para suportar o fluxo de trabalho de revisão e investigação

Consoante a forma como pretende gerir alertas e políticas de Gestão de Riscos Internos, atribua utilizadores a grupos de funções específicos para gerir diferentes conjuntos de funcionalidades de Gestão de Riscos Internos. Pode atribuir utilizadores com diferentes responsabilidades de conformidade a grupos de funções específicos para gerir diferentes áreas de funcionalidades de Gestão de Riscos Internos. Em alternativa, atribua todas as contas de utilizador para administradores designados, analistas, investigadores e visualizadores ao grupo de funções Gestão de Riscos Internos. Para obter mais informações, veja Atribuir permissões de Gestão de Riscos Internos.

Compreender os requisitos e as dependências

Consoante a forma como planeia implementar políticas de Gestão de Riscos Internos, precisa das subscrições de licenciamento adequadas do Microsoft 365. Também tem de compreender e planear alguns pré-requisitos da solução.

Licenciamento: A Microsoft oferece a Gestão de Riscos Internos como parte de uma vasta seleção de subscrições de licenciamento do Microsoft 365. Para obter detalhes, veja o artigo Introdução à Gestão de Riscos Internos .

Se não tiver um plano Microsoft 365 Enterprise E5 existente e quiser experimentar a Gestão de Riscos Internos, pode adicionar o Microsoft 365 à sua subscrição existente ou inscrever-se numa avaliação do Microsoft 365 Enterprise E5.

Requisitos do modelo de política: Consoante o modelo de política que escolher, compreenda os seguintes requisitos e planeie em conformidade antes de configurar a Gestão de Riscos Internos na sua organização:

• Para o modelo Roubo de dados por utilizadores de partida , configure um conector de RH do Microsoft 365 para importar periodicamente informações de data de demissão e de cessação para os utilizadores na sua organização. Para obter orientações passo a passo para configurar o conector de RH do Microsoft 365, consulte o artigo Importar dados com o conector de RH .
• Para o modelo Fugas de dados, configure pelo menos uma política de Prevenção Contra Perda de Dados do Microsoft Purview (DLP) para definir informações confidenciais na sua organização e para receber alertas de risco interno para alertas de política DLP de Alta Gravidade. Para obter orientações passo a passo para configurar políticas DLP, veja o artigo Criar e Implementar políticas de prevenção de perda de dados .
• Para o modelo violação da política de segurança, ative Microsoft Defender para Ponto de Extremidade para a integração da Gestão de Riscos Internos no Centro de Segurança do Defender para importar alertas de violação de segurança. Para obter orientações passo a passo para ativar a integração do Defender para Endpoint com a Gestão de Riscos Internos, veja Configurar funcionalidades avançadas no Microsoft Defender para Ponto de Extremidade.
• Para o Modelo de utilizador de risco, configure um conector de RH do Microsoft 365 para importar periodicamente o desempenho ou despromoção status informações para os utilizadores na sua organização. Para obter orientações passo a passo para configurar o conector de RH do Microsoft 365, consulte o artigo Importar dados com o conector de RH .

Testar com um pequeno grupo de utilizadores num ambiente de produção

Antes de ativar esta solução amplamente no seu ambiente de produção, considere testar as políticas com um pequeno conjunto de utilizadores de produção para que possa concluir as revisões legais, privacidade e conformidade necessárias na sua organização. Avaliar a Gestão de Riscos Internos num ambiente de teste requer que gere ações simuladas do utilizador e outros sinais para criar alertas para triagem e casos para processamento. Esta abordagem pode não ser prática para muitas organizações, pelo que recomendamos que teste a Gestão de Riscos Internos com um pequeno grupo de utilizadores num ambiente de produção.

Mantenha a funcionalidade de anonimização nas definições de política ativada para tornar anónimos os nomes a apresentar dos utilizadores na consola de Gestão de Riscos Internos durante este teste para manter a privacidade na ferramenta. Esta definição ajuda a proteger a privacidade dos utilizadores que têm correspondências de políticas e pode ajudar a promover a objectividade na investigação de dados e análises de alertas de risco interno.

Se não vir nenhum alerta imediatamente após configurar uma política de Gestão de Riscos Internos, tal poderá significar que o limiar de risco mínimo ainda não foi atingido. Verifique a página Utilizadores para verificar se a política está acionada e a funcionar conforme esperado e para ver se os utilizadores estão no âmbito da política.

Migrar entre o Microsoft 365 US Government Cloud e a cloud comercial

Se migrar a sua organização da Cloud do Microsoft 365 US Government para a cloud comercial mundial ou da cloud comercial mundial para a Cloud da Administração Pública, os alertas e os casos ativos não migram. Feche quaisquer alertas e casos antes de iniciar a migração.

Recursos para intervenientes

Partilhe a documentação da Gestão de Riscos Internos com os intervenientes na sua organização que estão incluídos no fluxo de trabalho de gestão e remediação:

• Criar e gerenciar políticas de riscos internos
• Investigar atividades de riscos internos
• Tomar medidas em casos de riscos internos
• Rever dados de casos com o Explorador de conteúdos de risco interno
• Criar modelos de aviso de riscos internos

Pronto para começar?

Está pronto para configurar a Gestão de Riscos Internos para a sua organização? Nós recomendamos que você leia os artigos a seguir:

• Introdução às definições da Gestão de Riscos Internos para configurar as definições de política global.
• Comece a utilizar a Gestão de Riscos Internos para configurar pré-requisitos, criar políticas e começar a receber alertas.
• Introdução às provas forenses da Gestão de Riscos Internos para obter orientações passo a passo para configurar a captura de provas forenses na sua organização.